最近披露的 Apple 系統零日漏洞在技術社群引發了一場關於針對 Apple 裝置的基於網路漏洞利用演變的有趣討論。在 Apple 急於修補這些最新漏洞的同時，這種情況也讓我們得以回顧 iOS 和 macOS 安全性的歷史演變。
基於網路漏洞利用的歷史
目前影響 WebKit 和 JavaScriptCore 的漏洞讓許多人想起了 iOS 早期時代，特別是基於網頁的越獄盛行的時期。在 iOS 4-6 時期，使用者只需訪問一個網頁就能完成裝置越獄——這既展示了基於網路漏洞利用的簡單性，也體現了其技術的複雜性。這段歷史與當今更為複雜的安全形勢形成了有趣的對比，如今類似的漏洞往往被用於更具危害性的目的。
現代漏洞利用動態
當今的零日漏洞利用鏈在一個明顯不同的環境中運作。社群討論揭示，現代漏洞利用鏈通常針對高價值目標，而不是廣泛部署。正如一位評論者敏銳地觀察到：
你認為開發這些耗時費力的漏洞利用鏈的駭客會選擇打擊儘可能多的低價值目標，從而導致 Apple 快速修補漏洞，還是隻針對高價值目標，這樣就不會那麼快被 Apple 發現？
跨平臺安全影響
當前情況的一個特別值得注意的方面是 Apple 對不同平臺的修補方法。雖然據報道這些漏洞只在基於 Intel 的 Mac 上被觀察到，但 Apple 已經向其整個生態系統推送了更新，包括 iOS 裝置。這種防禦策略突顯了 Apple 各平臺之間共享的程式碼庫以及其縱深防禦的安全方法。
當前漏洞：
- CVE-2024-44308： JavaScriptCore 漏洞可能導致任意程式碼執行
- CVE-2024-44309： WebKit 漏洞可能導致跨站指令碼攻擊
受影響系統：
- 基於 Intel 的 macOS 系統（已確認）
- iOS 裝置（已釋出預防性補丁）
- 所需更新： iOS 18.1.1、 macOS Sequoia 15.1.1、 iOS 17.7.2
支援生命週期問題
社群討論突出了對 Apple 軟體支援生命週期的持續關注。雖然 Apple 的支援期限比許多競爭對手更長，但人們越來越多地呼籲延長安全更新期限，特別是對那些仍然功能完好但已超出當前支援視窗的裝置。這場討論涉及了計劃報廢與可持續技術使用之間更廣泛的行業問題。
從簡單的越獄到複雜的定向攻擊的演變，展示了 Apple 的安全領域如何走向成熟，同時也凸顯了在維護多樣化裝置和架構生態系統安全性方面的持續挑戰。